| 命令 | vol -f <镜像> <插件> |
|---|---|
| 常用 | linux.pslist、linux.bash、linux.sockstat、linux.lsmod |
分析
分析
vol -f mem.lime linux.pslist | head -20
vol -f mem.lime linux.bash | head -40镜像与符号版本不匹配时需提供对应内核的 ISF 符号文件。
Volatility 3 Linux 常用插件
Volatility 3 用符号表解析内存镜像：进程列表、shell 历史、socket 与内核模块是常用的四类视角。
易错点
- 符号缺失时会报错而非静默，按提示补齐符号文件
- 内存中的历史与磁盘文件可能不一致，两者都要保留
数据来源与参考
- Volatility 3 官方文档（插件列表）